En leverandørpolitik for installatørbranchen er en oversigt over de parter, du selv arbejder med — underleverandører, selvstændige, softwareleverandører til din planlægning eller bygningsledelsessystemer — med en vurdering af risikoen, som hver part medbringer, for hver part. For installatørbedrifter ligger fokus ofte ikke kun på digital adgang, men også på fysisk adgang: hvem får en nøgle, et adgangskort eller et login på din kundes ledelsessystem.
Det gør installatørbranchen til et særligt tilfælde. Hvor en softwarebedrift primært ser på, hvem der har adgang til kildekoden, ser en installatørbedrift på, hvem der står i kundens bygning, hvad der arbejdes på hvad angår ledningsføring, og hvilke oplysninger om bygningen — plantegninger, alarmkoder, adgangslog — er på vej til en underleverandør. En leverandørpolitik samler de to verden — fysisk og digital — i en oversigt.
Hvorfor dette også er relevant uden egen pligt
Installatørbedrifter falder normalt ikke selv ind under cybersikkerhedspligten i cybersikkerhedsloven. Men ophavsmanden, der faktisk er pligtig — et hospital, et energiselskab, en kommune — skal vurdere sin egen kæde, og det betyder, at han også ser på, hvem du igen aktiverer. En underleverandør med en uset bærbar computer, som logger ind på et hospitals bygningsledelsessystem, udgør en risiko for denne opdrager, selvom kontrakten formelt er indgået med dig. En leverandørpolitik viser, at du kender og administrerer denne videregiveringskæde, i stedet for at du mangler svar, så snart spørgsmålet opstår. Læs mere om, hvad denne opdrager præcist må spørge om. oversigten over emner pr. sektor.
Hvad der konkret hører til i politikken
En brugbar leverandørpolitik starter med en liste: hvem arbejder der for dig, med hvilken adgang, og hvor fast er det forhold. For installatørbedrifter drejer det sig typisk om tre kategorier. Underleverandører og selvstændige, som arbejder på stedet og derved får fysisk adgang til bygninger, nøgleskabe eller serverrum. Softwareleverandører til planlægnings-, fakturerings- eller bygningsledelsessystemer, som ses eller arbejder med på afstand. Og leverandører af materialer eller udstyr, som nogle gange også har brug for deres eget login, for eksempel til fjerngarantitilmelding.
For hver part opstår spørgsmålet om, hvad en rimelig kontrol er: en erklæring om, at adgangskoder ikke deles mellem medarbejdere, en aftale om, hvad der sker med adgangskoder efter afslutning af et job, eller blot en kontaktperson, som du kan nå, hvis noget går galt. Ikke enhver leverandør kræver det samme niveau af dybde — en skruveleverandør stiller andre krav end en underleverandør, som logger ind på dit kontosystem på et hospital.
Underleverandører og adgang: det punkt, hvor det ofte går galt
I installatørbranchen arbejdes der meget med skiftende underleverandører, nogle gange for et enkelt job, nogle gange strukturelt. Det gør adgangskontrol sværere end i en virksomhed med et fast team. Et praktisk udgangspunkt er et simpelt spørgsmål pr. underleverandør: får denne person et eget adgangskort eller nøgle, eller arbejdes der med en delt kode? Bliver denne adgang tilbagekaldt, så snart jobbet er afsluttet, eller forbliver det aktivt, indtil nogen husker at blokere det? Og hvem inden for din egen virksomhed er ansvarlig for denne tilbagekaldelse?
Disse spørgsmål virker organisatoriske, ikke tekniske, men de handler præcis om, hvad en leverandørpolitik handler om: ikke om firewalls, men om hvem der kommer ind hvor og hvorfor. For de bredere foranstaltninger omkring adgang inden for din egen virksomhed er der særskilt uddybning; denne artikel handler specifikt om parter uden for din virksomhed, som du selv aktiverer.
Hvordan du begynder uden at gøre det til et årsprojekt
En leverandørpolitik behøver ikke at være færdig på én gang. En praktisk rækkefølge er: start med de parter, der har adgang til de mest følsomme miljøer — bygningsledelsessystemer hos kunder fra vitale sektorer, eller software, der kan se med på distancen. Dokumentér per part, hvad du ved, hvad du stadig skal spørge om, og hvem der påtager sig det. Udvid derefter det overblik til resten af forsyningskæden.
Hvorvidt og i hvilket omfang dette er relevant for dit firma, afhænger af de sektorer, hvor dine kunder er aktive, og arten af din egen tjenesteydelse. En kortfattet gennemgang viser, hvor dit firma står i kæden, og videnbanken på secria.eu viser per emne, hvilken kildehenvisning i den officielle tekst, der hører til. Hvordan vi vedligeholder disse kilder, er forklaret på siden om vores arbejdsmåde.
Hvad denne artikel ikke erstatter
En leverandørpolitik er et organisatorisk dokument, ikke juridisk rådgivning om dine specifikke kontrakter eller ansvar over for underleverandører. For spørgsmål herom er en jurist eller brancheorganisationen det rette kontaktpunkt. Hyppigt stillede spørgsmål om lovens rækkevidde og leverandørernes rolle er samlet på siden med hyppigt stillede spørgsmål.
Vil du vide, hvor dit eget firma står, og hvilke leverandører i din kæde fortjener først opmærksomhed? Quick-scanen er gratis og giver på et par minutter en første indikation, uden at du behøver en konto.